- Yama var
- Son 7 gün
- CWE-22
CVE-2026-114098
Dulwich'te stash pop sembolik bağlantıları nedeniyle dizin dışına dosya yazılmasına yol açan yol geçişi açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Dulwich 0.22.5 ile 1.2.8 öncesi sürümlerde, stash.py dosyasındaki pop fonksiyonu yol geçişi (path traversal) açığı içermektedir. Bu açık, saldırganların ara dizin sembolik bağlantıları aracılığıyla çalışma ağacı dışında rastgele dosyalar yazmasına olanak tanır. Saldırganlar, açılan stash'in .git/hooks/post-checkout dosyasına bir yük yazdığı kötü niyetli bir depo hazırlayabilir; bu durumda bir sonraki checkout işleminde kod çalıştırma gerçekleşir.
Kaynaktaki açıklama (İngilizce)
Dulwich from 0.22.5 before 1.2.8 contains a path traversal vulnerability in stash.py pop() that allows attackers to write arbitrary files outside the worktree through intermediate directory symlinks. Attackers can craft a malicious repository whose popped stash writes a payload into .git/hooks/post-checkout, achieving code execution on the next checkout.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| jelmer dulwich | ≥ 0.22.5, < 1.2.8 | 1.2.8 |
| 1.2.8 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.